[论文解读] Representing Network Trust and Using It to Improve Anonymous Communication

Aaron D. Jaggard, Aaron Johnson+2 more|arXiv (Cornell University)|Jun 13, 2014

Internet Traffic Analysis and Secure E-voting参考文献 11被引用 4

一句话总结

本文提出了一种模块化系统，利用贝叶斯信念网络（BBNs）对用户指定的Tor网络元素（如中继、自治系统（ASes）和互联点（IXPs））的信任进行建模与利用，通过概率分布表示敌手攻陷的概率。通过将用户信任信念与真实世界的网络本体论及路由数据相结合，该系统提升了对首—尾相关联攻击的抵抗能力，在用户和服务均采用信任感知路径选择时，可将被攻陷风险降低高达50%。

ABSTRACT

Motivated by the effectiveness of correlation attacks against Tor, the censorship arms race, and observations of malicious relays in Tor, we propose that Tor users capture their trust in network elements using probability distributions over the sets of elements observed by network adversaries. We present a modular system that allows users to efficiently and conveniently create such distributions and use them to improve their security. The major components of this system are (i) an ontology of network-element types that represents the main threats to and vulnerabilities of anonymous communication over Tor, (ii) a formal language that allows users to naturally express trust beliefs about network elements, and (iii) a conversion procedure that takes the ontology, public information about the network, and user beliefs written in the trust language and produce a Bayesian Belief Network that represents the probability distribution in a way that is concise and easily sampleable. We also present preliminary experimental results that show the distribution produced by our system can improve security when employed by users; further improvement is seen when the system is employed by both users and services.

研究动机与目标

• 应对日益增长的相关联攻击和恶意Tor中继对用户匿名性的威胁。
• 通过使用户和服务能够基于信任做出路径和服务器位置决策，提升Tor的安全性。
• 开发一种形式化、模块化的框架，用于表示和推理网络基础设施元素中的信任关系。
• 构建一个可扩展、可采样的贝叶斯信念网络，捕捉Tor网络中AS、IXP和中继之间的相关攻陷风险。
• 通过实证方法证明，信任感知路径选择可降低首—尾相关联攻击的发生概率。

提出的方法

• 定义网络元素类型（如AS、IXP、中继家族）及其关系的本体论，以建模敌手的关联攻陷行为。
• 利用公开数据构建真实世界的网络世界：Tor共识数据、Routeviews前缀表、IXP映射关系以及AS-组织分组信息。
• 允许用户通过正式的信任语言表达对网络元素及其属性（如家族运行时间、组织控制权）的信任信念。
• 使用一种转换过程，将用户的信任信念与网络世界转换为贝叶斯信念网络（BBN），确保结果的简洁性与可采样性。
• 通过BBN采样计算攻陷概率：对每个客户端位置，估算所有可能的守护中继—出口中继路径上的首—尾相关联攻击风险。
• 利用BBN指导路径选择：客户端选择攻陷概率最低的守护中继，服务则选择能将客户端平均风险最小化的服务器位置。

实验结果

研究问题

• RQ1 如何形式化表示对网络元素的信任，以提升Tor中的匿名性？
• RQ2 用户提供的信任信念在多大程度上可降低Tor中首—尾相关联攻击的风险？
• RQ3 在客户端和服务端同时集成信任信息，对整体网络安全性有何影响？
• RQ4 结合本体论、信任语言与BBN转换的模块化系统，能否高效建模AS、IXP和中继之间的关联敌手攻陷行为？
• RQ5 信任感知路径选择对降低成功去匿名化概率的定量影响是什么？

主要发现

• 该系统成功基于真实Tor网络数据，使用包含2,398个中继变量和超过3200万个虚拟链接的贝叶斯信念网络，对敌手攻陷风险进行了建模。
• 当客户端采用信任感知路径选择时，与Tor默认路径选择相比，首—尾相关联攻击的发生概率显著降低，风险缓解效果可测量。
• 客户端和服务端同时使用信任信息后，被攻陷风险进一步降低，客户端位置的最小平均攻陷概率显著下降。
• 运行时间更长的中继家族被赋予更低的攻陷概率，体现了系统将现实世界可靠性编码进信任模型的能力。
• 通往一个守护中继或出口中继的AS路径中位数为46,052条，表明路径多样性很高，但系统仍能基于信任有效优先选择更安全的路径。
• 通过概念验证实验，系统证明了可行性，表明在测试配置中，信任感知选择可将去匿名化风险降低高达50%。